Уразливість Reflected XSS у плагіні Download Manager для WordPress

Що відомо

Плагін Download Manager для WordPress має уразливість Reflected Cross-Site Scripting через параметр 'user_ids' у версіях до 3.3.23 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з підробленими посиланнями.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузері користувача, що загрожує викраденням сесій, фішингом або іншими атаками на користувачів сайту. Власники інфраструктури повинні врахувати ризики компрометації даних та репутації через можливі атаки, особливо якщо плагін активно використовується на сайтах з великою аудиторією.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Download Manager від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити доступ до параметра 'user_ids', впровадити додаткові механізми фільтрації та екранування введених даних, а також моніторити журнали безпеки на предмет підозрілої активності.

Джерела

• NVD
• Reference
• Reference